Secrete, și dovezi
Instrumentele adunate aici par fără legătură până observi ce au în comun.
Generatorul de parole creează un secret pe care nimeni nu îl poate ghici. Verificatorul de trageri dovedește că un rezultat pe care nimeni nu l-ar fi putut prezice nu a fost nici el ales pe ascuns, ulterior. Fiecare este o întrebare despre aleatorietate — una despre a o păstra secretă, cealaltă despre a putea demonstra că a fost reală.
Acea a doua întrebare este cea pe care majoritatea site-urilor o ignoră. Un concurs, o tombolă, o alocare de ture: organizatorul știe că tragerea a fost cinstită, iar toți ceilalți trebuie să îl creadă pe cuvânt. O sămânță plus o amprentă transformă „ai încredere în mine” în ceva ce un participant poate verifica singur.
Ce alegi
Crearea unei credențiale — o parolă de autentificare, o frază pe care trebuie să o tastezi din memorie, un PIN numeric sau o cheie API pentru un fișier de configurare. Toate patru ies din generatorul de parole, care arată și entropia și un timp estimat de spargere, astfel încât lungimea aleasă este o decizie informată, nu o presupunere.
Verificarea unei trageri făcute de altcineva — lipește certificatul în verificatorul de trageri. Acesta recalculează rezultatul din sămânță și compară amprenta. Dacă ceva nu se potrivește, cifrele au fost schimbate după tragere.
De ce generarea unei parole aici nu este o contradicție
A obține o parolă de pe un site sună ca cel mai rău mod posibil de a face rost de una. De obicei chiar este: dacă valoarea este generată pe un server, ea a existat pe mașina altcuiva înainte să existe pe a ta, iar tu nu ai cum să știi ce s-a întâmplat cu ea acolo.
Nimic nu este generat pe un server aici. Caracterele provin din
crypto.getRandomValues(), API-ul de browser susținut de rezerva de entropie a
sistemului tău de operare — aceeași sursă pe care browserul tău o folosește
pentru a negocia HTTPS. Pagina nu face nicio cerere de rețea cât timp o
folosești. Poți confirma asta deschizând fila de rețea din instrumentele pentru
dezvoltatori, generând o parolă și urmărind cum nu se întâmplă nimic. Dacă nu
vrei să crezi nici măcar asta pe cuvânt, deconectează-te de la rețea mai întâi;
instrumentul continuă să funcționeze.
Ce nu include deliberat această categorie
Nu există un verificator de putere a parolei în care să lipești o parolă existentă. Introducerea unei parole reale într-un formular web pentru a fi „verificată” este un obicei prost indiferent de ce promite site-ul, iar generatorul arată deja entropia pentru parolele pe care le creează.
Nu există căutare de scurgeri de date, manager de parole sau instrument de hashing. Pentru un manager, folosește unul dedicat — Bitwarden, 1Password și KeePass rezolvă toate problema pe care acest site nu o poate rezolva, aceea de a-ți ține minte parolele. Pentru verificarea scurgerilor, Have I Been Pwned este referința.